样本说明

来自看雪论坛对ollvm的算法进行逆向分析和还原，本文对照文章所指出的函数进行去混淆

二进制文件

• 文件都可在 AntiOllvm 下载
• libnative-lib.so 原版混淆的二进制文件
• libnative-lib-anti.so 去混淆后的二进制文件

去混淆函数

• JNI_ONLoad 正常混淆，导出函数可以使用 --select-functions 选项设置名称。该函数主要调用 RegisterNatives 注册C函数
• sub_12AE4 函数范围 0x12AE4-0x13AAC 存在很多小的混淆块，函数包含异常处理，还使用了向量指令，目前暂未添加该向量指令和异常处理，后续版本添加。
• sub_1D1E8 函数范围 0x1D1E8-0x26300 函数体较大，存在很多小混淆块
• sub_26300 函数范围 0x26300-0x26698 代码较少
• sub_1B89C 函数范围 0x1B89C-0x1C918 函数，代码量中等

AntiOllvm 使用帮助

• 查看 使用帮助
• 查看视频 视频

去混淆过程

• 使用命令

  1 2	antiollvm.exe --config D:\retdec\install\share\retdec\decompiler-config.json .\libnative-lib.so --select-ranges 0x26300-0x26698,0x1b89c-0x1c918 --select-functions JNI_OnLoad antiollvm.exe --config D:\retdec\install\share\retdec\decompiler-config.json .\libnative-lib.so --select-ranges 0x1d1e8-26300

  第一条命令3个函数体较小，可以一次性去混淆。sub_1D1E8 函数较大单独运行避免占用内存太多

• 生成文件

  • libnative-lib-anti.so 带有 anti 后缀是在原二进制文件的基础上替换掉混淆函数，多次运行不会覆盖它，只会在该文件基础上替换函数。
  • libnative-lib-compile.so 带有 compile 后缀是本次运行优化后的编译产物，该文件是可重定位文件，包含本次优化的所有相关变量和方法

去混淆效果对比

• JNI_ONLoad

去混淆之前

去混淆之后

• sub_12AE4

去混淆之前

去混淆之后

• sub_1D1E8

去混淆之前

去混淆之后

• sub_26300

去混淆之前

去混淆之后

• sub_1B89C

去混淆之前

去混淆之后

[CTF入门培训]顶尖高校博士及硕士团队亲授《30小时教你玩转CTF》，视频+靶场+题目！助力进入CTF世界